序號(hào)

內(nèi)容

需求清單

1

測(cè)評(píng)范圍

2

依據(jù)標(biāo)準(zhǔn)

實(shí)施方應(yīng)依據(jù)國(guó)家等級(jí)保護(hù)相關(guān)標(biāo)準(zhǔn)開展工作，依據(jù)標(biāo)準(zhǔn)包括但不限于如下國(guó)家標(biāo)準(zhǔn)：

《中華人民共和國(guó)網(wǎng)絡(luò)安全法》；

《信息安全等級(jí)保護(hù)管理辦法》（公通字〔2007〕43 號(hào)）；

《計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)劃分準(zhǔn)則》（GB17859-1999）;

《信息安全技術(shù) 網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求》（GB/T22239-2019）；

《信息安全技術(shù) 網(wǎng)絡(luò)安全等級(jí)保護(hù)安全設(shè)計(jì)技術(shù)要求》（GB/T25070-2019）；

《信息安全技術(shù) 網(wǎng)絡(luò)安全等級(jí)保護(hù)測(cè)評(píng)要求》（GB/T28448-2019）；

《信息安全技術(shù) 網(wǎng)絡(luò)安全等級(jí)保護(hù)測(cè)評(píng)過(guò)程指南》（GB/T28449-2018）；

《信息安全技術(shù) 網(wǎng)絡(luò)安全等級(jí)保護(hù)定級(jí)指南》（GB/T22240-2020）；

《信息安全技術(shù) 網(wǎng)絡(luò)安全等級(jí)保護(hù)測(cè)試評(píng)估技術(shù)指南》（GB/T36627-2018）。

根據(jù)國(guó)家最新標(biāo)準(zhǔn)開展測(cè)評(píng)工作。

3

技術(shù)要求

根據(jù)國(guó)家網(wǎng)絡(luò)安全等級(jí)保護(hù)相關(guān)標(biāo)準(zhǔn)，實(shí)施方對(duì)衢州市人民醫(yī)院信息系統(tǒng)安全等級(jí)保護(hù)測(cè)評(píng)的內(nèi)容包括但不限于以下內(nèi)容：

安全技術(shù)測(cè)評(píng)：包括安全物理環(huán)境、安全通信網(wǎng)絡(luò)、安全區(qū)域邊界、安全計(jì)算環(huán)境、安全管理中心等五個(gè)方面的安全測(cè)評(píng)；

安全管理測(cè)評(píng)：安全管理制度、安全管理機(jī)構(gòu)、安全管理人員、安全建設(shè)管理、安全運(yùn)維管理等五個(gè)方面的安全測(cè)評(píng)； 

1、等級(jí)測(cè)評(píng)要求

（1)實(shí)施方應(yīng)在對(duì)本單位系統(tǒng)詳細(xì)了解的基礎(chǔ)上，編制針對(duì)性的等級(jí)保護(hù)測(cè)評(píng)整體實(shí)施方案，包括項(xiàng)目概述、等級(jí)測(cè)評(píng)范圍和內(nèi)容、項(xiàng)目實(shí)施流程、測(cè)試過(guò)程中需使用測(cè)試設(shè)備清單、時(shí)間安排、階段性文檔提交和驗(yàn)收標(biāo)準(zhǔn)等。

（2）實(shí)施方應(yīng)詳細(xì)描述測(cè)評(píng)人員的組成、資質(zhì)及各自職責(zé)的劃分。實(shí)施方應(yīng)配置有經(jīng)驗(yàn)的測(cè)評(píng)人員進(jìn)行本次等級(jí)測(cè)評(píng)工作。

（3）本次等級(jí)測(cè)評(píng)實(shí)施過(guò)程中所使用到的各種工具軟件由實(shí)施方推薦，經(jīng)采購(gòu)方確認(rèn)后由實(shí)施方提供并在測(cè)評(píng)中使用。在投標(biāo)文件中應(yīng)詳細(xì)描述所使用的安全測(cè)評(píng)工具（軟硬件型號(hào)、功能和性能描述）、使用的方式和時(shí)間、對(duì)環(huán)境和平臺(tái)的要求以及使用可能對(duì)系統(tǒng)造成的風(fēng)險(xiǎn)等。

（4）對(duì)于在測(cè)評(píng)過(guò)程中采用的測(cè)評(píng)方法、測(cè)評(píng)所使用的工具、測(cè)評(píng)所覆蓋的各方面，需要符合信息安全等級(jí)保護(hù)主管部門要求，包括但不僅僅包括網(wǎng)絡(luò)隱患檢測(cè)工具、數(shù)據(jù)庫(kù)漏洞檢測(cè)工具、應(yīng)用安全檢測(cè)工具、網(wǎng)站安全檢測(cè)工具等。

（5）交完整的技術(shù)文檔、測(cè)評(píng)報(bào)告、整改建議等。

2、項(xiàng)目實(shí)施要求

（1）實(shí)施方應(yīng)保證投標(biāo)項(xiàng)目在采購(gòu)方條件成熟時(shí)立即開展實(shí)施；

（2）實(shí)施方在項(xiàng)目實(shí)施過(guò)程中應(yīng)服從采購(gòu)方的統(tǒng)一領(lǐng)導(dǎo)和協(xié)調(diào)，采購(gòu)方有權(quán)裁決實(shí)施方的責(zé)任范圍，實(shí)施方必須執(zhí)行，在采購(gòu)方限定的時(shí)間內(nèi)解決問題。如果實(shí)施方不能按時(shí)完成測(cè)評(píng)內(nèi)容，采購(gòu)方有權(quán)中止項(xiàng)目、索賠或拒付款項(xiàng)；

（3）實(shí)施方需根據(jù)自己的工程實(shí)施經(jīng)驗(yàn)結(jié)合采購(gòu)方的實(shí)際需求進(jìn)一步細(xì)化和完善工作任務(wù)書，作為工程實(shí)施的指導(dǎo)性文件；

（4）實(shí)施方應(yīng)根據(jù)采購(gòu)方工作需求、進(jìn)度要求、實(shí)際情況制定詳細(xì)的項(xiàng)目實(shí)施管理規(guī)范和項(xiàng)目實(shí)施計(jì)劃，對(duì)工程目標(biāo)、工作任務(wù)、階段性工作、項(xiàng)目組織機(jī)構(gòu)、職責(zé)分工、項(xiàng)目進(jìn)度、質(zhì)量控制等內(nèi)容進(jìn)行詳細(xì)的說(shuō)明，以確保工程實(shí)施按時(shí)保質(zhì)的完成；

（5）本次項(xiàng)目實(shí)施骨干人員至少包含1名高級(jí)測(cè)評(píng)師（提供證書復(fù)印件）；本項(xiàng)目負(fù)責(zé)人必須具有5年以上的測(cè)評(píng)工作經(jīng)驗(yàn)，并參與過(guò)具有大型復(fù)雜測(cè)評(píng)項(xiàng)目的實(shí)施經(jīng)驗(yàn)；承擔(dān)本次項(xiàng)目的項(xiàng)目經(jīng)理必須同時(shí)具有高級(jí)測(cè)評(píng)師證書、Oracle數(shù)據(jù)庫(kù)認(rèn)證專家證書（OCP）、網(wǎng)絡(luò)工程師中級(jí)證書、CISO(注冊(cè)信息安全管理人員)（提供證書復(fù)印件），確保項(xiàng)目的順利實(shí)施；

（6）測(cè)評(píng)人員駐場(chǎng)人員需求：具有網(wǎng)絡(luò)安全檢測(cè)或安全服務(wù)相關(guān)的工作經(jīng)驗(yàn)，具有較強(qiáng)的溝通協(xié)調(diào)能力，組長(zhǎng)具有中級(jí)測(cè)評(píng)師、注冊(cè)網(wǎng)絡(luò)安全滲透評(píng)估專業(yè)人員證書、信創(chuàng)管理規(guī)劃師（高級(jí)）證書相關(guān)證書，協(xié)調(diào)開展信息系統(tǒng)的分析梳理、定級(jí)備案、等保測(cè)評(píng)及協(xié)助落實(shí)技術(shù)整改等工作；

時(shí)間需求：該人員需從項(xiàng)目進(jìn)場(chǎng)測(cè)評(píng)開始，直至我院通過(guò)網(wǎng)安部門獲取備案證明后，方可離場(chǎng)，在此期間除非工作日外，其他時(shí)間均需要在我院駐場(chǎng)提供現(xiàn)場(chǎng)支撐。（需提供人員資質(zhì)掃描件、公司人員參保證明）；

(7)項(xiàng)目驗(yàn)收完成后，要求提供為期一年的安全咨詢服務(wù)，以保證項(xiàng)目正常運(yùn)行。

4

測(cè)評(píng)報(bào)告要求

實(shí)施方應(yīng)對(duì)采購(gòu)人的各個(gè)信息系統(tǒng)進(jìn)行等級(jí)保護(hù)測(cè)評(píng)，形成相應(yīng)的報(bào)告。

(1) 實(shí)施方在測(cè)評(píng)完成后，出具符合信息安全等級(jí)保護(hù)主管部門要求的信息系統(tǒng)安全等級(jí)保護(hù)測(cè)評(píng)報(bào)告；

(2)對(duì)不符合信息安全等級(jí)保護(hù)有關(guān)管理規(guī)范和技術(shù)標(biāo)準(zhǔn)的，實(shí)施方出具可行的信息系統(tǒng)整改建議，并指導(dǎo)用戶方完成整改；

 (3)實(shí)施方協(xié)助用戶方辦理信息系統(tǒng)安全等級(jí)保護(hù)備案手續(xù)等相關(guān)工作。

交貨期限

30天

服務(wù)期限

1年